Наші IoT-інженери оцінюють ваші підключені продукти за технічними вимогами CRA і передають gap-звіт, базовий SBOM і план виправлень — технічні докази, потрібні вашому юристу.
Технічна оцінка готовності до CRA від WebbyLab — це інженерний аналіз підключених продуктів за технічними вимогами Акту ЄС про кіберстійкість (Регламент (ЄС) 2024/2847). Вона охоплює прошивку пристрою, механізми оновлення, хмару й мобільні застосунки та SBOM і дає технічні докази, які ваш юрист використовує в процедурі оцінки відповідності.
Виробники зобов’язані звітувати про активно експлуатовані вразливості та серйозні інциденти, з раннім попередженням протягом 24 годин. Це стосується і продуктів, які вже продаються.
Кожна одиниця, введена в обіг на ринку ЄС з цієї дати, має повністю відповідати суттєвим вимогам CRA, навіть якщо модель продається роками.
Це про вас?
Виробники та бренди підключених пристроїв для ринку ЄС — HVAC і теплові насоси, промислове обладнання, розумний дім, — зокрема бренди, які продають OEM-залізо під власним логотипом.
Пристрої, які вже працюють у полі, переробляти не обов’язково. Але кожна одиниця, продана після 11 грудня 2027 року, має відповідати вимогам повністю, навіть якщо модель стара. Треба знати, що змінити до цієї дати.
Відповіді постачальника щодо CRA неповні або суперечать одна одній. Ви не можете довести відповідність, якої не може підтвердити постачальник.
Усе, що виходить на ринок з 11 грудня 2027 року, має відповідати вимогам з першого дня. Ви хочете закласти безпеку в дизайн, а не латати її перед релізом.
Дистриб’ютор або великий клієнт просить докази готовності до CRA, і вам потрібна технічна відповідь, за яку можна ручатися.
Обсяг
Сім технічних областей, що охоплюють суттєві вимоги Додатка I до CRA, і восьма — для продуктів на OEM-залізі.
Secure boot, відкриті debug-порти та інтерфейси, стандартні й спільні облікові дані, безпечні налаштування за замовчуванням і скидання до заводських.
Механізм OTA, підпис і перевірка цілісності оновлень, захист від відкату та автоматичні оновлення безпеки, увімкнені за замовчуванням з можливістю вимкнення.
Шифрування на кожному каналі, зокрема MQTT, окремі облікові дані для кожного пристрою, автентифікація пристроїв у вашій хмарі.
CRA охоплює хмарні сервіси й застосунки лише тоді, коли їх розробили ви або їх розроблено під вашу відповідальність і без них продукт не працює. Цю частину ми оцінюємо — контроль доступу, захист даних, поверхня атаки — і позначаємо, що поза обсягом.
Мінімізація даних, шифрування даних під час зберігання й передавання, журналювання подій безпеки та безпечне видалення даних і налаштувань користувача.
Перелік компонентів і сторонніх бібліотек, відомі вразливості та розбіжність версій у парку пристроїв.
Політика координованого розкриття вразливостей і контактна адреса для повідомлень, процес оцінки, виправлення та звітування, оновлення безпеки протягом періоду підтримки та оголошена дата завершення підтримки.
Звіряємо анкети постачальника, специфікації та фактичну поведінку пристрою і ведемо технічний діалог з інженерами постачальника від вашого імені.
Якщо потрібне глибше тестування, ми вкажемо це в плані виправлень.
Результати
Для кожної продуктової лінії:
Головний документ CRA: модель загроз вашого продукту і матриця застосовності вимог Додатка I з обґрунтуванням. На ньому будується решта звіту.
Кожна застосовна вимога зі статусом — відповідає, частково, не відповідає чи не оцінено — з критичністю та доказами.
Перелік програмних компонентів у форматі SPDX або CycloneDX, готовий до підтримки з кожним релізом.
Технічні нотатки щодо архітектури оновлень та ідентичності пристроїв: що працює, а що змінити.
Пріоритезовані виправлення з оцінкою трудомісткості, щоб ви могли спланувати інженерну роботу.
Технічні матеріали для технічної документації вашого продукту.
Короткий огляд: де зараз кожен продукт і що потрібно зробити.
Кожне джерело від постачальника звірене з кожною вимогою, з позначеними прогалинами й суперечностями.
Документи, які треба отримати від постачальника, — модуль і версії прошивки, підпис оновлень і корінь довіри, secure boot, зразок SBOM, архітектура і модель загроз, політика обробки вразливостей, план до грудня 2027 року, — і технічні зобов’язання для договору поставки: період підтримки, попередження за 24 години, строки виправлень, SBOM з кожним релізом. Умови самого договору — на вашому юристі.
Оцінка не є декларацією відповідності чи юридичною консультацією.
Процес
Узгоджуємо, які продукти в обсязі, до чого буде доступ і що потрібно від вас.
Описуємо продуктові лінії, версії прошивки, компоненти й залежності та складаємо базовий SBOM.
Аналізуємо кожну область за технічними вимогами CRA і фіксуємо знахідки з доказами.
Передаємо звіт і розбираємо його з вашою командою та юристом.
Ролі
Ваш юрист визначає, що CRA вимагає від вас. Ми показуємо, що насправді роблять ваші продукти, — і що змінити.
Для OEM-продуктів: ми спілкуємося з інженерами постачальника, ваш юрист узгоджує умови поставки.
Кейси
Та сама інженерна команда створює і підтримує прошивки, OTA та хмарні платформи для підключеного обладнання.
SmartHeat
Наявну прошивку ESP32 виробника теплових насосів підключили до хмарної платформи для віддаленого керування, діагностики й телеметрії — без переписування з нуля.
Paton
Bridge-прошивка на ESP32 і мобільний застосунок, що доставляють оновлення прошивки на контролери STM32 у полі та витримують електромагнітні завади від зварювання.
MyBox
Зв’язок через MQTT у реальному часі, архітектура, сумісна з OCPP, застосунок для водіїв і адмін-панель для операторів з повним стеком моніторингу.
ISO 9001
Офіси в Лондоні та Києві
Наступні кроки
Без зобов’язань продовжувати з нами. Якщо потрібна допомога з виправленнями, ось звичні наступні кроки.
Закрити прогалини в наявній прошивці й додати безпечне оновлення для пристроїв, які вже в полі.
Перейти із закритої хмари вендора на власну платформу з безпекою, закладеною в дизайн.
Готова платформа для підключених HVAC і теплових насосів: прошивка, хмара, застосунок і OTA.
Ваш експерт
Head of IoT, WebbyLab
Костянтин був першим учасником IoT-відділу WebbyLab і виростив його в напрям, що охоплює embedded- і апаратну розробку разом із хмарним і мобільним програмним забезпеченням. За освітою — інженер телекомунікаційних систем.
FAQ
Ні. Це технічна інженерна оцінка, яка готує докази для неї. Оцінка відповідності, декларація відповідності ЄС і маркування CE залишаються за вами та вашим юристом. Оцінка не є декларацією відповідності чи юридичною консультацією.
Перелік продуктів в обсязі, версії прошивки, вихідний код або бінарні файли, наявна технічна документація, тестові пристрої та технічна контактна особа з вашого боку. Для OEM-заліза — також відповіді щодо CRA і специфікації, які ви отримали від постачальника. Точний перелік надсилаємо після першого дзвінка.
Бажано, так: код дає найповнішу картину. Якщо коду немає, ми узгоджуємо обсяг під ваш випадок, а у звіті прямо зазначаємо, що оцінено, а що ні.
Так — обсяг залежить від вашого випадку. Залежно від того, до чого є доступ — вихідного коду, бінарних файлів, документації OEM чи лише самого пристрою та його підключення до хмари, — ми узгоджуємо обсяг на першому дзвінку, а у звіті прямо зазначаємо, що оцінено, а що ні. Для OEM-продуктів ми також аналізуємо відповіді та специфікації постачальника, позначаємо прогалини й суперечності і можемо вести технічний діалог з інженерами постачальника.
Так, якщо вони підпадають під CRA. Регламент охоплює хмарні сервіси й застосунки лише тоді, коли їх розробили ви або їх розроблено під вашу відповідальність і без них продукт не працює. Цю частину ми оцінюємо разом із прошивкою, а у звіті зазначаємо, що поза обсягом.
Так. Ми відповідаємо за інженерну частину і працюємо разом із вашим юристом або комплаєнс-командою; юридичних послуг ми не надаємо.
Ви отримуєте звіт, SBOM і план виправлень, і ми розбираємо їх з вашою командою та юристом. Далі ви можете виправити все самотужки, з іншим партнером або з нами. Без зобов’язань продовжувати з нами.
Почати
Розкажіть про ваші продукти. За 30 хвилин узгодимо обсяг, що потрібно від вас і реалістичний строк.
© 2026 WEBBYLAB LLC. Всі права захищено
